1. 总则

1.1. 本《隐私与个人信息处理政策》（以下简称“本政策”）规定了在使用“Azma Finance”软件时，个人信息及其他保密信息的收集、处理、使用、存储、传输和保护程序。
1.2. 个人信息控制者/运营者为“AZMA ACCOUNTING”有限责任公司（税号 TIN 310677164），依据乌兹别克斯坦共和国法律注册设立，法定注册地址：乌兹别克斯坦共和国，塔什干市，Kichik Beshagach街70号（以下简称“AZMA”或“运营者”）。
1.3. 本政策适用于使用以下各项：
a) 官方信息网站 www.azma.uz（以下简称“本网站”）；
b) “Azma Finance”软件（特别是可在 app.azma.uz 访问的系统），包括个人中心、相关软件模块、集成接口及其他界面（以下简称“本平台”）；
c) AZMA客户支持服务及与用户的其他互动渠道。
1.4. 本政策适用于下列主体的个人信息：
a) 代表法人实体及个体工商户在本平台上注册并开展操作的自然人；
b) 个体工商户；
c) 用户的法定代表人、创始人、员工及其他授权代表；
d) 作为用户交易对手方的自然人及其代表；
e) 用户在使用会计、税务、人事及其他功能时上传至本平台的员工及其他自然人；
f) 联系支持服务或以其他方式与AZMA互动的自然人；
g) 访问本网站和本平台并产生自动收集的技术数据的访客。
1.5. 就本政策而言，“用户”是指根据AZMA公开要约使用本平台的法人实体、个体工商户或其他商业实体；“个人信息主体”（“主体”）是指与相关个人信息直接关联的自然人。
1.6. 个人信息的处理严格遵守乌兹别克斯坦共和国法律，包括乌兹别克斯坦共和国《个人信息法》以及关于信息化、电子商务、电子数字签名和网络安全的相关法律法规。
1.7. AZMA通过内部规章指定专职员工或组织部门负责个人信息处理与保护的组织实施。
1.8. 依法须进行国家强制登记的个人信息数据库，由AZMA按法定程序向主管部门登记。相关国家登记册登记事项发生变更时，在法定期限内完成变更登记。

2. 个人信息处理的法律依据

2.1. AZMA仅在存在法律规定的一项或多项法定依据时处理个人信息，包括：
a) 个人信息主体的同意；
b) 为订立或履行与个人信息主体的协议所必需；
c) 为履行法律规定的AZMA法定义务所必需；
d) 为保护个人信息主体或其他人的生命健康及合法权益所必需；
e) 为实现AZMA或第三方的合法权益所必需，但该处理不得侵害个人信息主体的合法权益；
f) 为统计、分析和科学研究目的对去标识化/匿名化数据进行处理；
g) 处理从公开合法渠道依法获取的信息；
h) 乌兹别克斯坦共和国法律规定的其他依据。
2.2. 自然人在本平台注册时，即确认已完整阅读本政策；基于同意进行处理的，通过能可靠确认获得该同意的积极操作作出授权。
2.3. 对本政策的总体同意，不能替代法律明确规定特定类别信息或特定处理方式须取得的单独专项同意。
2.4. 针对特殊类别个人信息的处理，AZMA确保依法取得书面同意（包括电子形式）或具备法律规定的其他法定依据。
2.5. 若用户向AZMA提供其员工、代表、创始人、交易对手或其他自然人的个人信息，用户必须在提供前确保具备法律规定的合法依据以处理并将该数据提供给AZMA。
用户对其向AZMA获取和提供此类数据的合法性承担全部责任，并应在AZMA要求时提供相应合法依据的证明文件。
2.6. AZMA仅在本平台所提供功能以及遵守适用法律所必需的最低限度内，处理用户转交的第三方个人信息。

3. 处理的信息类别

3.1. 注册与账户数据
在注册和使用个人中心时，可能处理以下信息：
a) 姓氏、名字、父称；
b) 移动电话号码；
c) 电子邮箱地址；
d) 职务及授权信息；
e) 所使用沟通渠道中的用户名或标识符；
f) 自然人所代表的用户机构信息；
g) 身份验证和访问权限管理所需的数据。
3.2. 用户及其代表的信息
根据所使用的具体功能，可能处理：
a) 用户机构名称及注册信息；
b) 税号（INN/TIN）及个人识别码（PINFL，如适用）；
c) 法定代表人与创始人信息；
d) 注册地址与实际经营地址；
e) 银行账户结算信息；
f) 适用税制模式信息；
g) 代表人的授权文件信息；
h) 识别用户及履行合同所需的其他信息。
法人实体本身的信息若不指向已识别或可识别的特定自然人，不属于个人信息范畴，但由AZMA作为商业秘密及保密信息予以严格保护。
3.3. 会计、税务及人事数据
在使用本平台相应功能时，AZMA可能处理以下包含个人信息的资料：
a) 原始会计凭证；
b) 合同、发票、验收单及电子税务发票；
c) 银行对账单及结算明细；
d) 工资、应计与扣款明细；
e) 员工入职、调动、离职、请休假等人事记录；
f) 计算税费、社会保障费及其他强制性款项所需的数据；
g) 编制会计、税务、统计及其他法定报表所需的文件与数据；
h) 用户交易对手自然人及其代表的信息；
i) 上传至平台或在平台生成的各类业务文件中包含的信息。
3.4. 生物识别与基因数据
Azma Finance的标准功能不用于针对性收集和处理用于识别个人身份的基因数据或生物识别数据。
用户不得在无客观必要性且无明确法定依据的情况下上传此类数据。
如因个别法定功能涉及处理此类数据，AZMA将严格适用乌兹别克斯坦共和国法律规定的特殊保护与存储规程。
3.5. 电子数字签名（EDS）与认证数据
根据所使用的功能，AZMA可能处理：
a) EDS证书详细信息；
b) 证书持有人信息；
c) 证书有效期及当前状态；
d) 通过EDS执行的操作标识符；
e) EDS操作技术日志；
f) 私钥、密码或其他技术访问凭证——仅在本平台相关架构设置并要求连接以执行用户授权委托时处理。
用于通过EDS执行操作的数据被AZMA视为受限访问信息，且严格在用户授予的授权委托范围内使用。
3.6. 支付结算信息
在进行支付时，AZMA可能从银行或支付服务商接收：
a) 支付金额与币种；
b) 交易日期与状态；
c) 支付交易流水号；
d) 识别付款人所需的信息；
e) 支付服务商传输的受限支付工具信息（脱敏卡号等）；
f) 退款及自动扣款记录。
银行卡及其他核心支付凭证的直接处理由相关银行或支付服务商根据其业务规则独立开展。
3.7. 技术数据
在访问本网站和使用本平台时，系统可能会自动记录：
a) IP地址；
b) 连接日期与时间；
c) 浏览器类型与版本；
d) 操作系统及设备型号；
e) 会话标识符（Session ID）；
f) 用户在界面中的操作记录；
g) 系统错误与技术事件日志；
h) 登录、鉴权与业务操作审计日志；
i) Cookie及其他类似技术标识符。
3.8. 支持咨询信息
AZMA在审查咨询、保证服务质量及解决争议所需的范围内，处理来自用户和个人信息主体的咨询内容、附件文档、发件人信息、时间及沟通互动历史。
3.8.1. 通过Telegram及其他电子渠道的互动
当用户通过双方使用的Telegram、短信及其他电子通讯渠道与AZMA互动时，AZMA可处理信息内容、附件文档、联系方式、发送时间及往来记录，仅用于履行合同、确认用户身份、处理请求、提供平台功能、创建任务、监督服务质量以及确认双方互动。
此类信息的处理可由AZMA授权员工开展，也可由平台的自动化工具（包括用于分类、分析和信息提取的工具）在上述目的所必需的限度内进行。
通过上述渠道提供第三方个人信息的，用户即确认其具备向AZMA转交该信息的合法依据。

4. 个人信息处理目的

4.1. 个人信息的处理严格限于具体合法的特定目的，包括：
a) 注册并识别用户及其代表；
b) 创建并管理个人中心账户；
c) 授予Azma Finance功能的使用权限；
d) 实现平台所设定的会计、税务、人事及其他业务流程自动化；
e) 处理原始凭证数据并生成电子文档；
f) 在用户授权委托的范围内使用EDS；
g) 与国家信息系统、电子文档交换运营商及其他保障功能运行所必需的系统进行对接；
h) 接收付款并管理订阅服务、自动续费及退款；
i) 生成原始会计凭证、验收单据、电子税务发票及其他法定单据；
j) 提供技术与用户支持服务；
k) 发送服务通知、法定通知、支付账单及技术通知（包括通过平台、Telegram、短信及用户指定的其他渠道）；
l) 保障账户和平台的系统安全；
m) 防范与侦测欺诈、未授权访问及其他违规行为；
n) 遵守法律法规要求以及国家行政与司法机关的法定命令；
o) 开展AZMA自身的会计核算与纳税申报；
p) 确立、行使和维护AZMA及用户的合法权益（包括纠纷解决）；
q) 分析系统性能、修复运行错误及优化平台功能；
r) 生成匿名化统计数据与分析报表。
4.2. AZMA绝不将个人信息用于与收集时所声明的目的不相符的用途。
4.3. 若AZMA拟将个人信息用于需另行取得主体同意的新目的，该处理仅在依法取得相应同意后方可进行。
4.4. 与履行合同或平台运作无直接关系的广告及营销推广信息，仅在存在法定依据且在需要时已取得单独专项同意的前提下，方可向自然人发送。
拒绝接收广告推广信息并不影响发送关于系统安全、支付结算、条款变更、平台技术运行以及履行合同所必需的其他关键通知。

5. 处理规程与访问控制

5.1. 个人信息的处理通过自动化方式进行；在保障相应功能所必需时，由AZMA授权员工参与处理。
5.2. AZMA员工的访问权限严格遵循“必要知悉（Need-to-Know）”原则，仅在其履职所必需的最低限度内授予。
5.3. 接触个人信息及其他保密信息的员工和聘用人员必须严格遵守保密义务与信息安全规章。
5.4. AZMA采取合理的技术与管理措施保持个人信息的准确性与时效性。同时，用户必须及时更新由其控制的业务与人员信息。
5.5. 当平台特定功能的运行需要核实信息时，AZMA可将用户提供的数据与国家信息系统及其他合法公开来源的数据进行比对。
5.6. 仅依据个人信息的自动化处理作出对个人信息主体产生法律效力或严重影响其合法权益的决定时，该处理必须具备明确的法定依据。
在法律规定的情形下，个人信息主体有权了解该决定的作出程序并提出异议。

6. 向第三方提供与共享

6.1. AZMA绝不出售用户的个人信息或保密数据给第三方。
6.2. 在本政策所列目的必需的范围内，信息可能提供给：
a) 服务器、云基础设施及其他IT基础设施供应商；
b) 保障平台运行的技术开发人员与外包服务商；
c) 银行、支付机构及支付系统运营商；
d) 电子文档流转运营商（包括Didox等）；
e) 通信运营商及电子通知送达服务提供商；
f) 国家信息系统和国家行政监管机关（在用户使用相应申报功能时）；
g) AZMA的审计师、法律顾问及其他专业咨询顾问（在维护合法权益与履约所必需的范围内）；
h) 履行合同所必需、已取得主体明确同意或法律法规明确准许的其他主体。
6.3. 代表AZMA受托处理数据的第三方，仅能获取执行特定任务所需的最低信息量。
AZMA要求受托方严格遵守保密义务、既定处理目的以及法定的信息安全保护措施。
6.4. 向国家机关提供信息仅在存在明确合法依据时，并在满足该机关法定权限及要求的最低限度内进行。
6.5. 向第三方提供个人信息时，AZMA依法履行对个人信息主体的法定告知义务（包括在法定期限内发送书面或电子通知），但法律规定免于通知的情形除外。
6.6. 用户确认并同意：为执行用户在平台自主启用的各项功能，相关数据将被传输至特定的国家信息系统、电子文档交换运营商、银行或直接参与执行该业务的其他技术服务方。

7. 跨境传输与数据存储地点

7.1. AZMA严格依照乌兹别克斯坦共和国法律对数据存储物理位置的特殊法律要求组织个人信息的存储与处理。
7.2. 法律规定必须在乌兹别克斯坦共和国境内存储的个人信息类别，按法定程序统一放置并存储于乌兹别克斯坦共和国境内的数据中心。
7.3. 其他个人信息仅在具备法律规定的条件与法定安全保障时，方可在乌兹别克斯坦境外存储或处理。
在使用境外服务商前，AZMA应确认存在合法的存储或处理依据，并落实适用的合同、组织与技术保护措施。
7.4. 跨境传输仅向具备法律所要求保护水平的国家进行，或在存在法律明确规定的其他法定依据时进行。
若跨境传输依规需取得个人信息主体的单独同意，则必须在获得该同意后方可进行传输。
7.5. 属于必须在乌兹别克斯坦境内本地化存储的数据类别，或法律禁止/限制出境的数据，AZMA绝不进行跨境传输。
7.6. 个人信息主体有权向AZMA索取其个人信息已经完成或拟进行的跨境传输的相关信息。

8. 存储期限、删除与匿名化

8.1. AZMA存储个人信息的期限不超过实现特定处理目的所必需的时间，但法律规定或存在其他合法依据要求更长存储期限的除外。
8.2. 保障账户运行及履行合同所必需的数据，在合同有效期内持续处理。
8.3. 合同终止后，平台可向用户提供平台使用条款规定的数据导出期限。
该期限届满后，除非具备合法的继续留存依据，否则相关数据予以删除、匿名化或转入归档存储。
8.4. 用户通过平台存储的EDS私钥、密码及用于签署新操作的技术凭证，将按照与用户签订的协议及内部信息安全标准所规定的方式与期限予以封锁和删除。
终止使用EDS的权限不导致此前已签署的电子文件及操作日志被删除（依法或为证明履约行为须留存的除外）。
8.5. 电子文档、电子税务发票、支付流水凭证、原始会计凭证及法律规定了强制保存期限的其他文件，应保存至法定期限届满。
8.6. 信息安全与系统运行日志的保存期限以满足以下需要为限：
a) 保障本平台的技术安全；
b) 侦测与调查网络安全事件；
c) 证明用户与系统所执行的操作；
d) 维护AZMA与用户的合法权益；
e) 遵守强制性法律法规要求。
8.7. 当个人信息主体撤回同意时，仅基于该同意处理的数据应停止处理并予以销毁或匿名化。
若撤回同意后AZMA依据法律仍享有处理特定信息的其他法定依据，则仅在该法定依据范围内继续处理。
8.8. 处理目的达成且无其他合法依据留存的，个人信息应予以销毁或进行不可逆的匿名化处理。
8.9. 从生产系统删除的数据可能在备份数据保留周期结束前暂时保存在备份副本中。在最终清除前，此类数据不得用于日常业务处理，仅可用于系统容灾恢复、网络安全审计或履行法定强制要求。
8.10. 无法识别特定自然人的去标识化统计与分析数据，在个人信息停止处理后仍可继续保留使用。

9. 个人信息主体的权利

9.1. 个人信息主体依法享有以下权利：
a) 获知AZMA是否持有其个人信息及所持信息的具体内容；
b) 获取关于处理其个人信息的目的、法律依据和处理方式的信息；
c) 获知获取该个人信息的合法来源；
d) 获知信息已经或可能提供给的第三方名单；
e) 获知个人信息的处理与存储期限；
f) 获知跨境数据传输的相关情况；
g) 要求更正或补充不准确或不完整的个人信息；
h) 撤回先前作出的同意授权；
i) 要求暂停处理不完整、陈旧、不准确、非法获取或对于声明目的非必需的数据；
j) 在具备法定依据时要求删除其个人信息；
k) 依法对自动化决策提出异议；
l) 向主管国家机关或司法机关提起申诉以维护自身合法权益。
9.2. 主体可通过以下途径提交权利请求：
a) 个人中心内的专用服务功能；
b) AZMA客户支持服务渠道；
c) 向AZMA法定注册地址邮寄书面通知；
d) 其他能够可靠核实发件人身份及请求内容的方式。
9.3. 在响应请求前，AZMA有权要求提供核验申请人身份及确认其授权所必需的信息。
用于核验身份的信息范围不得超出核验目的所需的合理限度。
9.4. AZMA在法定期限内审查并答复请求。法律未设专门期限的，AZMA尽力在收到足以核查请求的必要信息之日起10（十）个工作日内作出答复。
9.5. 仅在具备合法理由时方可拒绝请求，并在法律规定的情形下向主体说明拒绝理由。
9.6. 若特定数据是提供平台功能在客观上所不可或缺的，删除数据或撤回同意可能导致无法使用特定功能或整套平台服务。

10. 用户的商业保密信息

10.1. 除个人信息外，AZMA对因使用本平台而获悉的用户其他受限访问信息严格承担保密义务，包括：
a) 会计与税务核算数据；
b) 财务报表与经营指标；
c) 银行对账单及账户流水；
d) 商业合同与各类原始单据；
e) 员工花名册及薪酬数据；
f) 商业交易明细及上下游交易对手信息；
g) 用户的商业秘密；
h) 账户凭证与系统访问工具；
i) 与使用EDS相关的数据；
j) 依其性质明显不适于向公众公开的其他信息。
10.2. AZMA仅在以下范围内使用上述保密信息：
a) 为用户提供平台既定功能；
b) 进行技术维护与保障安全；
c) 遵守强制性法律法规要求；
d) 维护AZMA与用户的合法权益。
10.3. 接触保密信息的权限仅授予履职必须接触的员工及聘用技术人员。
10.4. 仅在严格必要且对方承诺承担保密与安全义务的前提下，方可向外部技术合作方披露保密信息。
10.5. AZMA绝不向公众公开上述保密信息，绝不将用户的会计、税务或人事文档用于广告宣传或与提供本平台服务无关的任何用途。

11. 信息安全与网络安全

11.1. AZMA采取法律、组织和技术层面的全面措施，旨在防止：
a) 未经授权访问信息；
b) 非法复制、篡改、传输或销毁数据；
c) 信息丢失与完整性受损；
d) 非法使用访问凭证和EDS；
e) 其他信息安全与网络安全事件。
11.2. 根据数据性质、系统架构及面临的安全风险，安全防护措施包括：
a) 严格的角色划分与访问权限控制体系；
b) 用户与系统管理员的双重身份验证；
c) 限制最高管理员权限；
d) 记录并审计所有关键操作日志；
e) 严格管控内部员工对生产环境业务数据的访问；
f) 使用高强度加密的安全数据传输通道；
g) 依技术架构及法规要求采用加密技术防护手段；
h) 完备的数据备份与容灾恢复流程；
i) 软件更新控制与已知漏洞快速修复机制；
j) 安全事件监测与未授权访问行为预警；
k) 规范的应急响应与事件处置规程；
l) 妥善保存用于分析调查安全事件的日志与数字证据；
m) 严格限制对私钥及身份凭据的访问；
n) 对接触数据的技术承包方制定严格的信息安全合规要求。
11.3. AZMA不在本公开政策中披露安全控制的具体配置参数、密钥、网络架构细节等可能带来额外安全隐患的技术信息。
11.4. 发生安全事件时，AZMA将：
a) 迅速采取措施控制事件蔓延；
b) 查明受影响的系统和数据范围；
c) 在必要时封锁或限制已受损的访问凭证；
d) 采取措施恢复数据的完整性与可用性；
e) 保留必要的操作日志与电子证据；
f) 采取措施消除事件隐患并防止再次发生；
g) 依法在规定情形和期限内通报国家监管机构及相关个人信息主体。
11.5. 用户有义务妥善保管自身的系统访问凭证，并在发生以下情况时立即通知AZMA：
a) 密码或EDS泄露；
b) 发现可疑的登录活动；
c) 认证设备或工具遗失；
d) 产生未授权访问风险的其他异常情况。

12. Cookie与技术分析工具

12.1. 本网站和本平台可能使用Cookie及类似技术，以支持身份验证、维持会话状态、保障安全性并确保界面正常显示与操作。
12.2. 严格必需的技术类Cookie在向用户提供所请求功能及保障系统安全的必要限度内使用。
12.3. 使用分析类或其他非必需Cookie时，AZMA利用所获信息分析界面性能、排查系统故障并改进平台体验。
若法律要求对特定类别的Cookie取得单独同意，则仅在获得同意后激活。
12.4. 未经合法的法律依据，不得使用广告标识符及类似技术进行个性化广告追踪。
12.5. 用户可通过浏览器设置或平台提供的设置限制Cookie的使用。若停用核心技术Cookie，可能导致部分系统功能无法正常使用。

13. 政策修改与联系方式

13.1. 当法律法规发生变化、平台功能扩展、处理的数据类别变动、基础设施调整或内部流程优化时，AZMA可对本政策进行更新。
13.2. 本政策的最新有效版本发布于：https://azmafinance.com/cn/privacy-policy。
13.3. 涉及处理数据范围、传输流程或主体权利的重大实质性变更，将通过平台内的站内通知送达用户。
13.4. 本政策的修订本身并不赋予AZMA将先前收集的数据用于依法需另行取得主体同意的新目的的权利。
13.5. 有关个人信息处理与保护的咨询与诉求，可联系：
13.6. 在处理个人信息相关请求时，AZMA有权要求提供确认主体身份所必需的信息，以防止信息被非法披露给无关人员。
13.7. 本政策自发布之日起生效，并持续适用直至被新版本替代。